A Divisão de Apelação do Tribunal Superior de Nova Jersey, EUA, decidiu a favor da Merck em uma ação de US$ 1,4 bilhão movida pela farmacêutica alemã contra um consórcio de resseguradoras por negar o pagamento por danos causados pelo ciberataque NotPetya de 2017. A Merck não tinha seguro cibernético separado, mas contava com uma cláusula que especificava “todos os riscos” de seu seguro de propriedade.
De acordo com a companhia farmacêutica, noventa segundos após a infecção inicial do NotPetya, cerca de 10 mil máquinas em sua rede global foram infectadas pelo malware e mais de 40 mil máquinas foram infectadas em toda a empresa globalmente.
As seguradoras alegaram que o seguro de propriedade estava sujeito a uma cláusula de exclusão de guerra, e a “exclusão é clara e inequívoca, e se aplica claramente ao ataque NotPetya”, grupo supostamente vinculado ao governo da Rússia. No entanto, os juízes da Divisão de Apelação, Currier, Mayer e Enright discordaram. “Abordamos a exclusão em termos das circunstâncias apresentadas diante de nós. E descobrimos que as seguradoras não cumpriram seu ônus de mostrar que isso poderia ser aplicado de maneira justa ao ataque cibernético NotPetya. Esse é o escopo de nossa revisão. Portanto, recusamos o pedido das seguradoras para delinear o escopo exato de quais ataques cibernéticos podem ser incluídos na exclusão hostil/bélica”, disseram eles na sentença.
Embora tenham se recusado a aceitar o ataque NotPetya como realizado por um Estado-nação, portanto, como um ato cibernético de guerra, eles também se recusaram a definir que tipo de ataque cibernético poderia ser definido como um ato de guerra. O tribunal concluiu que, “termos semelhantes a ‘ação hostil ou bélica’ por um poder soberano destinam-se a relacionar-se com ações claramente ligadas à guerra ou, ao menos, a uma ação ou objetivo militar. Portanto, além da interpretação, em linguagem simples, da exclusão que exige a inaplicabilidade da exclusão, o contexto e a história desta e de exclusões com palavras semelhantes e a maneira como exclusões semelhantes foram interpretadas pelos tribunais levam à conclusão de que a exclusão era inaplicável para barrar a cobertura das perdas da Merck”.
Veja isso
Justiça dos EUA flexibiliza lei para proteger ‘white hats’
Entidades de segurança e defesa levam a Boeing à Justiça
David Cummings, sócio do grupo de prática de litígios da Reed Smith (autor de um amicus brief arquivado pelos segurados da United no caso), comentou que a decisão da Divisão de Apelação é uma vitória importante para os segurados “que continuam buscando — e pagando prêmios substanciais para — certeza com relação à sua cobertura de seguro diante desses ataques cibernéticos frequentemente incertos”.
Segundo ele, de muitas maneiras, a decisão se resume à aplicação ponderada do Tribunal dos princípios fundamentais da lei de seguros. “Disposições de exclusão devem ser interpretadas estritamente contra a seguradora, quaisquer ambiguidades devem ser resolvidas em favor do segurado e consistentes com as expectativas razoáveis do segurado. Nesse ponto, o Tribunal determinou corretamente que a linguagem simples da política de exclusão de ações hostis/bélicas simplesmente não pode ser razoavelmente interpretada como abrangendo um ataque cibernético a uma empresa não militar que presta serviços comerciais a clientes não militares”, disse Cummings ao site SecurityWeek.
A decisão pode ou não ser o fim do caso Merck, mas, segundo ele, provavelmente é apenas o começo de discussões futuras sobre o que pode ou não ser interpretado como um ato cibernético de guerra. Um pagamento de US$ 1,4 bilhão não é pouca coisa para o setor de seguros e certamente terá ramificações futuras no setor de seguros cibernéticos e patrimoniais.
